APEX HTTPS DV SSL сертификат проблема (возможно с Cookie)

[maxandsoft]

Дорого времени суток, имеется вопрос при использовании HTTPS когда сайт сделан на APEX, как корректно прописать в Http response header чтобы нормально воспринимались куки пары сторонних виджетов таких как яндекс метрика и подобных, у меня получается так что при активации этих скриптов на 0 странице (постскриптум много страниц Page is Public), то когда все же пытаюсь залогиниться то получаю ошибку Session is ended, без скриптов виджетов все норм, я понимаю что скорее всего как то нужно прописать разрешения для Cookie, перерыл кучу статей но с применением к APEX не нашел ни чего стоящего. Хеееелп!?

Версия Oracle APEX 22.1.4 Ords : 22.1.1.r1331148 (standalone)

[Valery Yourinsky]

Попросил наших специалистов помочь вам разобраться и найти решение проблемы.

Подпишитесь на тему, чтобы не пропустить ответы!

[Valery Yourinsky]

Попросил наших специалистов помочь вам разобраться и найти решение проблемы.

Подпишитесь на тему, чтобы не пропустить ответы!

Письмо вчера написал, а отправить его забыл (отвлекли).

Сейчас отправил.

Сорри.

[AndyTax]

Здравствуйте!

Прямо такой модели и, соответственно, проблемы, как описано, у нас нет...


У нас есть пара мест , где рисуем виджеты из интернета: прогноз погоды, например, баллы пробок на дорогах. Работает нормально..
Разрешения для куки у нас включены ( потому что куки используем для других целей)
Может поэтому проблема не возникает.

Сайты наши в ORDS (22 версия) работают через HTTP
HTTPS реализовано поверх, через Апач или Nginx.
Апекс 22

[maxandsoft]

я в итоге разобрался, в случае если использовать ords в режиме standalone то в Security приложение в разделе Response Header нужно прописать разрешения на Cookie, ниже пример, и все встало на свои места. Понимать что именно, нужно прописывать, можно в режиме отладки в консоли. Причины блокировок и по каким разделам content-security-policy.

Content-Security-Policy: upgrade-insecure-requests
Upgrade-Insescure-Requests: 1
content-security-policy: default-src 'self' 'unsafe-inline' *.yastatic.net *.yandex.ru *.leadback.ru *.gstatic.net;
content-security-policy: script-src 'self' 'unsafe-inline' 'unsafe-eval' *.yastatic.net *.yandex.ru *.leadback.ru *.google-analytics.com;
content-security-policy: script-src-elem 'unsafe-inline';
content-security-policy: connect-src 'self' 'unsafe-inline' *.google-analytics.com *.yandex.ru;
content-security-policy: child-src 'self' *.yastatic.net *.yandex.ru *.leadback.ru;
content-security-policy: style-src 'self' 'unsafe-inline' *.yastatic.net *.yandex.ru *.leadback.ru;
content-security-policy: style-src-elem 'unsafe-inline' *; frame-src 'self' 'unsafe-inline' *;
content-security-policy: media-src 'self' 'unsafe-inline';
content-security-policy: font-src 'self' 'unsafe-inline';
content-security-policy: img-src * data:
strict-transport-security: max-age=31536000; includeSubDomains; preload
vary: Accept-Encoding,User-Agent

[AndyTax]

Спасибо ! Будем иметь в виду.